Cloudflare: Sicherheitsvorfall
KI-Modell liefert Kunden Antworten mit fremden Daten.
| incidentID | Datum | Betroffene | Land | Sicherheitsvorfall | href | Land | Tags |
|---|
Cloudflare: Sicherheitsvorfall
Der Infrastrukturanbieter Cloudflare meldete am 26. Oktober 2026 einen Mandantentrennungsfehler im KI-Modell GLM-5.3 auf Workers AI. Vom 27. August bis 9. September 2026 enthielten 155 Antworten auf Prompts mit mehr als 681.280 Token Daten fremder Kunden.
Zwei Fehler trafen zusammen. Cloudflare setzte ein Kontextfenster von 1.048.576 Token ein, der Key-Value-Cache (KV-Cache) der Prefill-GPUs fasste nur 681.280. Die Inferenz-Engine SGLang wies zu lange Anfragen im getrennten Prefill/Decode-Modus nicht ab. Der Decode-Knoten las deshalb veraltete Cache-Seiten früherer Anfragen.
Der Forscher Gadi Evron meldete den Fehler am 8. September 2026 über HackerOne. Cloudflare nahm das Modell am 9. September offline, korrigierte Konfiguration und Engine und stellte den Dienst am selben Tag wieder bereit. Hinweise auf gezielte Ausnutzung fand das Unternehmen nicht.
